BLOG
BRIGHTPATHブログ

小規模工務店も攻撃対象になる

世界中で日常的に、多くのサイトが自動プログラムによる攻撃を受けています。このプログラムはWordPress の既知の脆弱性を持つサイトを機械的にスキャンし、発見次第攻撃を仕掛けます。工務店のサイトかどうか、規模が大きいかどうかは一切関係ありません。

「知名度のない工務店のサイトを狙っても意味がない」と思うかもしれませんが、攻撃者の目的はさまざまです。サイトを踏み台にして他のサイトへの攻撃を行う、スパムメールを大量送信する拠点にする、他の不正サイトへのリンクを埋め込む。これらは工務店サイトであっても十分に利用価値があります。

特に WordPress は世界シェアトップの CMS であり、攻撃対象として最も研究されているシステムでもあります。WordPress のコア自体の脆弱性、インストールしたプラグインの脆弱性など、これらは常に発見・公開され続けており、更新を放置すると、既知の脆弱性が残った状態になります。

WordPressの放置はリスクになる

WordPress のダッシュボードに「更新があります」という通知が溜まっているサイトは少なくありません。「後でやろう」「業者に頼んでいるから大丈夫」しかし業者が実際に定期更新を行っているかを確認したことはありますか。

WordPress のコア・テーマ・プラグインの更新通知の多くは、セキュリティ脆弱性への対処を含んでいます。更新通知の多くは、セキュリティ上の脆弱性に対する修正です。放置されたサイトは、攻撃対象になりやすくなります。

ただし、更新には注意も必要です。テーマやプラグインの組み合わせによっては、更新後に表示崩れや機能不全が起きることがあります。だからこそ「更新前のバックアップ取得 → 更新 → 動作確認」というプロセスを踏んだ管理が必要です。

改ざん被害は信頼を失わせる

工務店サイトが改ざんされたとき、最も深刻なのはシステムへのダメージよりも「見込み客が受ける体験」です。

改ざんの典型的な被害は、サイトを開くと見知らぬサイトに転送される、Googleの検索結果に「このサイトは危険です」という警告が表示される、ページ内に怪しい広告やリンクが埋め込まれるといったものです。

住宅を検討しているお客様が工務店のサイトを検索し、クリックした瞬間にGoogleから「危険なサイトです」という警告が出たとします。そのお客様がその工務店に問い合わせをすることは、まずありません。それどころか「セキュリティ管理がずさんな会社 = 家づくりも雑なんじゃないか」という致命的な信頼低下が起きます。数千万円の家を託す会社として、「管理がずさん」という印象は回復不可能なダメージです。

古いシステムやプラグインの放置

WordPress やプラグインの更新放置は「単なる機能追加の無視」ではありません。最新のセキュリティ対策の無視。つまり現場の足場を放置して裏口を開けっ放しにしている状態です。

セキュリティ研究者が脆弱性を発見すると、WordPress 開発チームはその情報を受けて修正版をリリースします。この修正版のリリースと同時に「この脆弱性はここにある」という情報が公開されることになります。つまり更新を適用していないサイトは、攻撃方法が公開された状態で放置されているのと同じです。

特に注意が必要なのは、使っていないプラグインです。「昔インストールして今は使っていない」プラグインも、有効化されていれば攻撃対象になります。不要なプラグインは削除することが、最もシンプルなリスク低減策のひとつです。

弱いパスワードや管理体制の不備

推測しやすいパスワードや、長期間変更されていない管理情報は、侵入リスクを高めます。攻撃者は自動プログラムを使って、よく使われるパスワードの組み合わせを機械的に試し続けます（ブルートフォース攻撃）。

管理体制の不備としてよく見られるパターンは以下です。

SSLや更新管理の不足

URLが「http://」のまま（SSL未対応）のサイトは、Google Chrome で「このサイトは安全ではありません」という警告が表示されます。これはハッキングではなくGoogleのポリシーによる警告ですが、見込み客への印象は改ざん被害と同様です。

SSLとは通信を暗号化する仕組みで、「https://」で始まるサイトに適用されています。現在ほとんどのレンタルサーバーで無料のSSL証明書が提供されていますが、設定が完了していないサイトや、証明書の有効期限が切れたままのサイトが存在します。

SSL対応の確認・更新、定期的な動作確認、不審なファイルやログの確認。
これらの更新管理が行われていないサイトは、技術的な対策以前の問題として攻撃のリスクにさらされています。

施工事例やブログが消える可能性

工務店サイトが改ざんや不具合で「サイトごと消えた」状態になると、失われるのはホームページという「箱」だけではありません。

• ５年かけて積み上げた施工事例100件
• 毎月更新し続けたブログ記事200本
• 蓄積されたお客様の声とプロフィール写真
• 地道に積み上げてきたSEO評価と検索順位

これらは、サイトのデータが消えた瞬間にすべて失われます。施工事例100件を再掲載するためには、写真の再撮影・原稿の再作成・再アップロードという膨大な作業が必要です。そして検索順位は、新しいサイトとして一からGoogleに評価してもらう必要があります。

バックアップがあれば、最新のバックアップ時点に復元できます。バックアップがなければ、すべてを一から作り直すことになります。

復旧に時間と費用がかかる

改ざん・不具合・サーバー障害からの復旧には、バックアップの有無によって時間と費用が大きく異なります。

バックアップがある場合

バックアップがあれば、比較的短期間・低コストで復旧できるケースが多くなります。

バックアップがない場合

改ざんされたファイルの全特定・マルウェアの除去・クリーンな状態への復旧という複雑な作業が必要になり、費用は数十万円規模になることもあります。さらに、この復旧期間中はサイトが機能しない状態が続くため、その間の集客機会も失い続けます。

「問題が起きてから対処する」ではなく「問題が起きても最小限のダメージで済む状態を作る」とするのがバックアップの本質的な価値です。

集客資産を一から作り直すことになる

最も見落とされがちなリスクが「SEO評価の喪失」です。
Googleは、サイトのコンテンツの充実度・更新頻度・被リンク・ユーザー行動などを総合的に評価して検索順位を決定します。長期間かけて積み上げたこの評価は、サイトの URL に紐づいています。サイトが消えて新しいURLで一から構築し直した場合、その評価は引き継がれません。

「月100件の検索流入を生んでいたサイトが消えた」場合、検索流入やSEO評価を元の状態まで戻すには、長期間かかるケースもあります。その間は集客がゼロに近い状態が続きます。集客停止が長引けば、工務店経営に大きな影響を与える可能性があります。

バックアップは「システムの保険」ですが、SEO評価を守る意味では「集客力の保険」でもあります。現場で工事保険をかけるのと同じように、ホームページにもバックアップという「保険」を必ずかけてください。

WordPressとプラグインの更新

WordPressのコア・テーマ・プラグインの更新は、セキュリティ対策の最重要事項です。しかし更新には順序と注意点があります。

SSL・表示速度・動作確認

セキュリティ対策はWordPressの更新だけではありません。定期的な動作確認も保守管理の重要な役割です。

定期確認すべき項目：

定期バックアップと復元確認

「自動バックアップを設定しているから安心」この認識は半分正しく、半分誤りです。重要なのは「バックアップが取れていること」だけでなく、「いざというときに確実に復元（リストア）できる体制が整っていること」です。

バックアップが存在しても、復元の手順を知らなければ、問題が起きたときに使えません。また、バックアップデータが壊れていたり、保存場所のサーバーが同時に障害を起こしていたりすることもあります。

確実なバックアップ体制のポイント：

セキュリティ対策とバックアップは、ホームページを安定運用するために欠かせません。問題が起きる前に備えておくことが重要です。